Websites herunterladen, die Ninja Forms nutzen

Über Ninja Forms

Mit einem Formular hört eine Website auf, ein Prospekt zu sein. Jemand hat entschieden, einen Namen, eine Adresse, eine Datei oder eine Zahlung entgegenzunehmen, was bedeutet, dass hinter der Seite ein Prozess steht und meist eine Person, deren Arbeit davon abhängt, was darüber hereinkommt. Ninja Forms ist eines der Tools, zu denen diese Entscheidung auf einer WordPress-Website führt, und wenn wir es erkennen, sagt das mehr über ein Unternehmen aus als die meisten Plugin-Erkennungen.

Das Plugin ist in PHP geschrieben und stammt vom Anbieter Saturday Drive, der das erste Release 2011 veröffentlichte, den Kern unter der Lizenz GPL v2 vertreibt und kostenpflichtige Erweiterungen dazu verkauft. Das Geschäftsmodell bestimmt, was die Daten zeigen können und was nicht. Zahlungsabwicklung, CRM-Anbindungen, Datei-Uploads und Marketing-Integrationen sind Add-ons. Eine Website mit dem Plugin kann also ein einfaches Kontaktformular betreiben oder einen mehrstufigen Antragsprozess, bei dem Geld fließt, und von außen sehen beide gleich aus. Wir behaupten nicht, sie unterscheiden zu können.

Stand Oktober 2026 erkennen wir Ninja Forms auf 14.406 Websites. 5.926 davon verorten wir in den USA. Die meisten Adressen tragen die Endung .com. Das Bild ist typisch für die Plugin-Ökonomie von WordPress, in der sich ein kostenloser Kern, der über das offizielle Verzeichnis verteilt wird, weit über den Markt hinaus verbreitet, den der Anbieter aktiv bearbeitet. Wer recherchiert, sollte damit rechnen, dass der Bestand ernsthafte kommerzielle Installationen mit Websites mischt, die irgendwann einmal einen Formular-Baukasten installiert und sich danach nie wieder darum gekümmert haben.

Durch die Versionsdaten wird ein Formular-Plugin zu einer Sicherheitsfrage statt zu einer Marketingfrage. Wir verzeichnen 227 verschiedene Versionsangaben, wobei Version 3.15.4 bei einem großen Teil der Installationen wiederkehrt. Formulare nehmen nicht vertrauenswürdige Eingaben entgegen, teils auch hochgeladene Dateien, und sie laufen in einem Content-Management-System mit einer langen Geschichte von Plugin-Schwachstellen. Wie sich die Releases in einem Bestand verteilen, ergibt deshalb eine aussagekräftige Risikokarte. Websites, die sich auf einem aktuellen Release sammeln, werden meist von jemandem betreut. Websites, die weit hinter dem aktuellen Stand zurückliegen, meist nicht, und der Unterschied zwischen beiden Gruppen ist oft an nichts anderem auf der Seite zu erkennen.

Gerade dieser Unterschied ist der Grund, warum man die ganze Liste braucht und nicht eine Einzelabfrage. Agenturen, die Wartungsverträge verkaufen, Sicherheitsanbieter, die das Ausmaß einer Gefährdung abschätzen, und alle, die ein WordPress-Produkt entwickeln und wissen müssen, auf welchen Formular-Baukasten sich ein Interessent bereits verlässt, stellen allesamt eine Frage an den gesamten Bestand. Eine Prüfung pro Domain liefert Antworten für jeweils eine Website. Sie lässt sich nicht sortieren, nicht nach Land oder Endung filtern und nicht zwischen zwei Scans vergleichen.

Eine Einschränkung gilt durchgehend. Die Erkennung setzt voraus, dass die Dateien und das Markup des Plugins in der ausgelieferten Seite erkennbar bleiben. Caching, Minifizierung oder eine Optimierungsschicht, die Skripte zusammenfasst, können den Fingerabdruck vollständig verbergen. Die Zahlen hier sind deshalb eine Untergrenze und keine vollständige Erhebung.